Descoberta de campanha maliciosa no registro npm

Pesquisadores de cibersegurança identificaram um conjunto de catorze pacotes npm trojanizados que se passam por utilitários legítimos de calendário e rastreamento de sequências, mas foram projetados para instalar silenciosamente um implante Linux alimentado por inteligência artificial chamado RedC2 4.0.

A descoberta foi divulgada na quinta-feira pela TrendAI, divisão empresarial da Trend Micro. Segundo o relatório, quando o módulo é carregado, ele localiza o binário embutido, concede permissão de execução e o inicia como processo em segundo plano desanexado. Não é necessária nenhuma chamada de gancho de instalação; uma única importação em qualquer ponto da árvore de dependências, mesmo que transitiva, basta para acionar a carga maliciosa.

Funcionalidade legítima mascara carga oculta

O que chama a atenção nesses pacotes é que eles de fato oferecem as funcionalidades prometidas. Por trás dessa fachada de utilitários de data, porém, reside código projetado para soltar um backdoor Linux disfarçado de acelerador matemático nativo. O nome do arquivo varia entre os pacotes: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin e calc-mapping.bin.

Os arquivos estão localizados diretamente em “dist/” ou sob “dist/internal/”, mas todos contêm o mesmo componente: o beacon Linux RedShell para o RedC2 4.0, que se comunica com um servidor remoto Windows ou Linux para facilitar atividades de pós-exploração no host comprometido.

Estrutura do carregador trojanizado

O arquivo de entrada do pacote, dist/index.mjs, atua como um carregador trojan. Ele reexporta os auxiliares de data e inicia o implante embutido assim que o módulo carrega, sem necessidade de gancho de instalação nem de função exportada, conforme explicou o pesquisador de segurança Aliakbar Zahravi.

Framework RedC2 4.0 e seu ecossistema

O RedC2 4.0 é comercializado em fóruns de cibercrime como um toolkit multiplataforma para Windows, macOS e Linux. A versão foi anunciada pelo ator de ameaça conhecido como “MarlboroMan” no Hack Forums no início de junho de 2026, descrito como um framework de comando e controle (C2) “construído para evasão”. A versão 3.0 foi vendida em janeiro deste ano, enquanto a 2.0 surgiu em agosto de 2025, indicando desenvolvimento ativo há pelo menos um ano. O beacon Linux RedShell foi introduzido na versão 4.0.

O framework é rico em recursos: acesso a terminal, transferência de arquivos, entrega de payloads em estágios, coleta de dados, operação multi-beacon, visualização de rede, túneis host-a-host e execução em memória de Beacon Object Files (BOFs), assemblies .NET e shellcode.

Capacidades do beacon Linux

Uma vez implantado, a variante Linux do beacon fornece um shell interativo via “/bin/sh” e expõe comandos específicos para descoberta de sistema, operações de arquivo, coleta de dados (chaves SSH e credenciais de navegadores), execução, persistência, execução de ELF em memória, proxy SOCKS5 e pivô de rede.

Ele estabelece comunicação com o servidor C2 e registra o sistema infectado coletando informações básicas e transmitindo-as na forma de uma “mensagem de check-in”. Em seguida, entra em um loop de processamento de comandos para receber instruções do operador, executá-las via “/bin/sh” e devolver os resultados.

Variantes Windows e macOS e modelo de negócio

As contrapartes para Windows e macOS cobrem terreno semelhante, permitindo operações de arquivo, reconhecimento de host e rede, enumeração de usuários e coleta de dados. O beacon Windows incorpora bypass de Controle de Conta de Usuário (UAC), detecção de antivírus e endpoint, adulteração de antivírus, execução em memória e movimentação lateral, recursos ausentes na versão macOS.

No site claro Red Offsec, o ator afirma que o Red C2 é um framework multi-linguagem e multi-SO desenhado com evasão como princípio central. O produto é vendido por US$ 99,99. Os Termos de Serviço proíbem explicitamente o uso para acesso não autorizado a computadores, hacking sem permissão explícita e abuso ou dano a sistemas que o cliente não possua ou não esteja autorizado a testar.

Camada de IA reduz barreira de entrada

O RedC2 estende sua camada de controle com uma extensão de linha de comando chamada RedC2 EXT e um componente guiado por modelo de linguagem grande (LLM) batizado de Red Agent. Este último permite que operadores orquestrem tarefas complexas de pós-exploração, como reconhecimento de rede e extração de credenciais, usando comandos em linguagem natural.

“O RedC2 vem com um assistente de IA chamado Red Agent, uma camada de execução de comandos baseada em LLM que transforma intenção em linguagem natural em comandos de beacon do framework”, disse Zahravi. A Red Offsec o caracteriza como um “sistema de execução de comandos alimentado por IA especializado para testes de penetração”.

Contexto de ataques à cadeia de suprimentos

Os achados ressaltam como frameworks C2 com IA integrada, antes não documentados, estão sendo distribuídos via pacotes npm maliciosos, reduzindo simultaneamente a barreira de entrada. Ao interagir com um modelo ajustado para operações de red team, o operador insere prompts em linguagem natural e o framework os traduz em sequências de comandos acionáveis. Essa abstração permite que operadores de diferentes níveis de habilidade executem intrusões complexas e multiestágio de forma eficiente.

O desenvolvimento ocorre logo após um ataque coordenado à cadeia de suprimentos que afetou três crates Rust legítimos (arrayref@0.3.10, internment@0.8.7 e append-only-vec@0.1.9), comprometidos com uma dependência proc-macro1 maliciosa que executava malware multiplataforma automaticamente durante builds do Cargo. O malware perfila o dispositivo infectado, cataloga navegadores baseados em Chromium, estabelece persistência e faz beacon para infraestrutura controlada pelo atacante para recebimento de tarefas e download de payloads adicionais. Suspeita-se que as credenciais de publicação do mantenedor tenham sido comprometidas.

Com informações de: The Hacker News